恶意样本分析-Lab16-01 反调试1分析

最新推荐文章于 2024-12-09 12:34:13 发布

LoopherBear

最新推荐文章于 2024-12-09 12:34:13 发布

阅读量609

点赞数

CC 4.0 BY-SA版权

分类专栏：病毒分析学习资料整理

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文链接：https://blog.youkuaiyun.com/LoopherBear/article/details/106339906

本文详细介绍了对一个恶意样本的反调试分析，包括静态分析和动态调试两部分。在静态分析阶段，通过IDA避开伪代码直接查看汇编，发现关键的反调试检测。动态调试时，针对BeingDebugged、ProcessHeap和NtProcessFlag等反调试机制进行了逐一破解，确保样本能够正常运行和分析。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

恶意样本分析-Lab16-01 反调试1分析

这个样本是随书《恶意代码分析实战》第十六章的样本，主要用来熟悉反调试的一些手段，这个算是样本分析中需要掌握的基础知识。这篇笔记会包含了静态分析和静态分析。基本要求

在这里插入图片描述

在分析这个样本之前可以先看一下恶意样本分析–16Windows中一些常用的反调试记录

静态分析

静态分析就不做PE信息的分析，直接走IDA分析，这个过程尽量不走伪代码分析，分析汇编指令，便于在x64dbg上分析时快速定位。

由于已经在第九章分析了，因此这里关注到反调试手段。首先来到入口处看到关键指令

在这里插入图片描述

很明显这个两个检测都是PEB结构的变量的检测，如果都不为0，则会调用函数sub_401000删除样本。

动态调试分析

使用x64dbg加载来到入口位置（这里注意如果程序放行就会停止同时样本被删除），

检测BeingDebugged

第一个检测返回状态值不为0，为

最低0.47元/天解锁文章

评论

被折叠的条评论为什么被折叠?

到【灌水乐园】发言

查看更多评论

添加红包

成就一亿技术人!

hope_wisdom

发出的红包

实付元

使用余额支付

点击重新获取

扫码支付

钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。